腾讯云安全组设置教程：端口放行规则详解（80/443/3306）
服务器装好了，网站却打不开、宝塔面板进不去、数据库连不上？十有八九是端口没放行。腾讯云安全组相当于服务器的虚拟防火墙，所有进出流量都要过它这一关；规则是有状态和无状态的组合：入站放行才有人能进来，出站默认全放。这篇教程讲清楚安全组在哪、常用端口怎么放、出问题怎么查。
步骤1：找到安全组入口
CVM用户进【云服务器控制台→安全组】，把安全组关联到实例；轻量应用服务器用户进实例详情的【防火墙】标签（轻量里叫防火墙，作用一样）。能看到当前规则列表。注意CVM默认规则通常只放行22、3389，网站端口要自己加。
步骤2：添加入站放行规则
点【添加规则】，协议选TCP，端口填80，来源填 0.0.0.0/0（允许所有IP访问），策略选"允许"，保存；443端口同理再加一条。接下来，规则列表出现新条目，即时生效、无需重启实例——这是安全组比系统防火墙方便的地方。浏览器访问 http://服务器IP 能看到网站响应（前提是Web服务已启动）。 还没有服务器？新用户可免费试用轻量服务器1个月，或上99元/年2核2G4M爆品练手 → 领取入口
步骤3：常用端口对照表
建站、远程、数据库各需要哪个端口？下面这张表直接照抄即可，放行原则就一条：业务要用的才放，用不到的全部关掉。
| 端口 | 用途 | 建议 |
|---|---|---|
| 22 | SSH登录 | 保留，可限制来源IP更安全 |
| 80/443 | HTTP/HTTPS网站 | 必放，来源0.0.0.0/0 |
| 3389 | Windows远程桌面 | 需要时放行 |
| 8888 | 宝塔面板入口 | 放行，建议改端口 |
| 3306 | MySQL数据库 | 不建议对公网开放 |
| 21 | FTP | 尽量用SFTP替代 |
特别提醒：3306这类数据库端口，如果确实需要远程连接，来源最好填你自己的固定IP，千万别填 0.0.0.0/0 裸奔——公网扫描器每天都在撞库。
步骤4：验证端口是否通
在本机执行 telnet 服务器IP 80，或用 curl -I http://服务器IP 测试。正常情况下，能建立连接或返回HTTP响应头，说明放行成功；如果超时，回头检查规则和服务器上的服务状态。
常见报错排查
- 安全组放行了还是不通：先确认服务真的在运行（
netstat -tlnp看端口监听），再查系统内部防火墙（firewalld/ufw/iptables）有没有二次拦截；两层放行全通了才算真通。 - 宝塔面板打不开：除了放行8888，新版宝塔入口带随机安全路径，忘了就SSH登录后执行
bt 14查看入口信息。 - 规则加了没效果：安全组规则按顺序匹配，确认"允许"规则排在"拒绝"之上；实例绑定了多个安全组时，要逐个检查是否冲突。
这几条常被追问
Q：安全组和Linux防火墙是一回事吗？ A：不是。安全组是云平台层的虚拟防火墙，系统内还有一层firewalld/ufw，两层都要放行才通。
Q：出站规则需要设置吗？ A：默认出站全部放行即可，日常建站不用动；有严格安全要求的场景再限制出站目标。
Q：80和443都要放行吗？ A：要。80承接HTTP并负责跳转，443承载HTTPS，缺一个都影响访问。
Q：放行端口会有安全风险吗？ A：只放业最好需端口、数据库端口限制来源IP，风险就可控；开得越少越安全。
Q：改错规则导致服务器失联怎么办？ A：安全组改动即时生效，误操作可能导致SSH连不上；此时进控制台把22端口的允许规则补回来即可，云控制台不走安全组通道，永远进得去。
剩下的就是动手了。腾讯云安全组设置没有想象中复杂，卡住的多半是端口、解析、证书这三件小事，按顺序排就行。